smichalev, по сути да невозможно. Усложни политику access refresh token записывай к примеру ip и уведомляй пользователя, если рефреш токеном воспользовались не стого ip или устройства, внеси ограничение на количество refresh tokens и при переполнении удаляй всей и записывай только новый, на жизненно обращения к api например при работе с бюджетом или просто очень важная бизнес логика запрашивай пароль пользователя. Конечно все это несет массу ограничений для пользователя, но с другой стороны приложение будет более защищенным
smichalev, ты уже используешь secure и раз ты его используешь скорее всего запросы уходят по http2. Тут уже исключаются xss атаки. Если не достаточно настрой CORS.
deleteItem = Array.prototype.slice.call(deleteItem);
listItem = Array.prototype.slice.call(listItem);
бессмысленные строки, вообще не ясно, что ты пытаешься сделать, в массив преобразовать? Есть более удобный синтаксис для этого. И для чего обращаться через proto, этот метод хорошо поддерживается. Загони свой пример в песочницу